CISO virtual, CISO interno ou só o SOC: quem responde pela segurança do hotel

Três papéis com nomes parecidos

Um SOC (Security Operations Center, ou centro de operações de segurança) é um serviço técnico, normalmente contratado de um fornecedor externo: monitora os alertas dos sistemas que foram conectados a ele, investiga o que parece suspeito e executa a contenção técnica prevista no contrato. É operação de segurança.

O CISO (Chief Information Security Officer) é uma função de liderança: responde pelo programa de segurança da informação do hotel perante a diretoria. Define prioridades e orçamento de segurança, cuida da conformidade com a LGPD e o PCI DSS, mantém o plano de resposta a incidentes e escolhe e cobra os fornecedores de segurança, incluindo o próprio SOC. Essa função pode ser ocupada por um funcionário (CISO interno) ou por contrato, no formato interino ou fracionado (CISO virtual).

Na prática, o SOC vigia e reage, enquanto o CISO decide e presta contas à diretoria. Os dois papéis se complementam, e um não substitui o outro.

Comparação lado a lado

Por que ter um SOC não significa que a segurança está resolvida

O SOC só vê o que foi conectado a ele. Se o PMS na nuvem, o POS, o Wi-Fi de hóspedes ou as contas das OTAs ficaram fora do escopo, os alertas desses sistemas não chegam. Alguém precisa decidir o que monitorar, e essa decisão não deveria ficar só com o fornecedor que cobra conforme o escopo monitorado.

Várias frentes também ficam fora do escopo de um SOC: a política de backups e se a restauração já foi testada, o treinamento da recepção contra phishing e golpes por telefone, os contratos com fornecedores que acessam dados de hóspedes, as respostas ao questionário do seguro cibernético e a conformidade com a LGPD. E, quando o SOC dispara um alerta grave às duas da manhã, alguém no hotel precisa ter autoridade para decidir se isola o PMS, quem comunica os hóspedes e quando envolver o jurídico. Se essa pessoa não está definida antes, a decisão é improvisada.

Por último: quem avalia se o SOC está entregando o que foi contratado? Sem uma liderança de segurança, ninguém revisa os relatórios, os tempos de resposta ou se o escopo ainda cobre os sistemas atuais do hotel.

O que um CISO faz que o SOC não faz

• Conduz o programa de segurança: roadmap, prioridades de investimento, orçamento e indicadores para a diretoria
• Orienta a conformidade com a LGPD e o PCI DSS, e o alinhamento a boas práticas como a ISO 27001 quando aplicável
• Mantém e testa o plano de resposta a incidentes, incluindo exercícios simulados com a liderança
• Define o escopo do monitoramento, seleciona o SOC e cobra contratos, SLAs e desempenho
• Prepara as respostas do seguro cibernético e prioriza a correção das lacunas que podem encarecer o prêmio
• Constrói a cultura de segurança: simulações de phishing e regras claras para recepção e back office

CISO interno ou CISO virtual?

A responsabilidade é a mesma; muda o formato. Um CISO interno em tempo integral faz sentido quando a operação atingiu um porte ou uma complexidade regulatória que exige dedicação exclusiva: várias propriedades, exposição internacional ou um escopo de PCI DSS extenso. Para muitos hotéis independentes e pequenas redes, o volume de trabalho de segurança não justifica um cargo exclusivo, e o formato fracionado cobre a mesma responsabilidade com uma dedicação proporcional. O formato interino cobre uma saída, a criação da função pela primeira vez ou uma auditoria marcada. Detalhamos o serviço em CISO virtual para hotéis: quando faz sentido.

Como SOC e CISO trabalham juntos

Em um modelo bem estruturado, cada papel tem um dono claro. O CISO, interno ou virtual, define o que precisa ser monitorado, escolhe o fornecedor de detecção e resposta, escreve o plano de incidentes e presta contas à diretoria. O SOC externo opera o monitoramento e a contenção técnica. A equipe de TI ou o MSP do hotel executa as correções e a recuperação. Quando um incidente acontece, o SOC detecta, o CISO decide e coordena, e quem executa já sabe o que fazer.

É assim que a HotelTI atua: não operamos um SOC nem executamos a contenção técnica. Assumimos a função de CISO do hotel, selecionamos e supervisionamos o SOC externo e coordenamos a resposta, com a operação técnica nas mãos do fornecedor contratado e da equipe de suporte do hotel. Nossa coordenação acontece em horário comercial; para alertas fora desse horário, o plano de resposta define antes quem no hotel decide e o que o SOC pode conter por conta própria. As obrigações legais em um incidente, como a comunicação à ANPD, devem ser validadas com o jurídico do próprio hotel.

Perguntas para avaliar a segurança do seu hotel

• Quem, pelo nome, responde pela segurança da informação do hotel perante a diretoria?
• Quais sistemas estão conectados ao monitoramento, e quem decidiu esse escopo?
• Se o SOC disparar um alerta grave fora do horário, quem tem autoridade para decidir o que fazer?
• Quando foi a última vez que alguém revisou os relatórios e o SLA do SOC?
• O plano de resposta a incidentes já foi testado com a liderança?

Próximos passos

A combinação certa entre SOC, CISO interno e CISO virtual depende do porte do hotel, da exposição regulatória e do que já está contratado. Em uma primeira conversa, nossa equipe entende a situação atual e indica o formato mais adequado. Fale com a nossa equipe.